C-97/23

WYROK TRYBUNAŁU (wielka izba) z dnia 10 lutego 2026 r. ( *1 ) Odwołanie – Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 63 – Mechanizm spójności – Artykuł 65 – Rozstrzyganie sporów przez Europejską Radę Ochrony Danych – Decyzja wiążąca – Skarga o stwierdzenie nieważności – Artykuł 263 akapit pierwszy TFUE – Akt zaskarżalny – Artykuł 263 akapit czwarty TFUE – Przesłanka, zgodnie z którą środek będący przedmiotem skargi musi dotyczyć skarżącego bezpośrednio W sprawie C‑97/23 P mającej za przedmiot odwołanie w trybie art. 56 statutu Trybunału Sprawiedliwości Unii Europejskiej, wniesione w dniu 17 lutego 2023 r., WhatsApp Ireland Ltd, z siedzibą w Dublinie (Irlandia), którą reprezentowali E. Egan McGrath, SC, C. Geoghegan, SC, M.D. McGrath, SC, M.P. Sreenan, SC, B. Johnston, C. Monaghan, P. Nolan, solicitors, H.-G. Kamann, Rechtsanwalt, F. Louis i A. Vallery, avocats, strona wnosząca odwołanie, w której pozostałymi uczestnikami postępowania są: Europejska Rada Ochrony Danych, którą reprezentowali C. Foglia, M. Gufflet, G. Le Grand i I. Vereecken, w charakterze pełnomocników, których wspierali G. Haumont, E. de Lophem, P. Vernet, avocats, i G. Ryelandt, advocaat, strona pozwana w pierwszej instancji, popierana przez: Republikę Federalną Niemiec, którą reprezentowali początkowo J. Möller oraz P.-L. Krüger, a następnie J. Möller, w charakterze pełnomocników, interwenient w postępowaniu odwoławczym, TRYBUNAŁ (wielka izba), w składzie: K. Lenaerts, prezes, T. von Danwitz (sprawozdawca), wiceprezes, K. Jürimäe, C. Lycourgos, I. Jarukaitis, I. Ziemele, O. Spineanu-Matei i M. Condinanzi, prezesi izb, S. Rodin, E. Regan, N. Piçarra, A. Kumin, N. Jääskinen, B. Smulders, i N. Fenger, sędziowie, rzecznik generalny: T. Ćapeta, sekretarz: A. Lamote, administratorka, uwzględniając pisemny etap postępowania i po przeprowadzeniu rozprawy w dniu 26 listopada 2024 r., po zapoznaniu się z opinią rzeczniczki generalnej na posiedzeniu w dniu 27 marca 2025 r., wydaje następujący Wyrok W swoim odwołaniu wnosząca je spółka WhatsApp Ireland Ltd (zwana dalej „WhatsAppem”), wnosi o uchylenie postanowienia Sądu Unii Europejskiej z dnia 7 grudnia 2022 r., WhatsApp Ireland/Europejska Rada Ochrony Danych (T‑709/21, zwanego dalej zaskarżonym postanowieniem, EU:T:2022:783), w którym sąd ten odrzucił jako niedopuszczalną skargę zmierzającą do uzyskania stwierdzenia nieważności decyzji Europejskiej Rady Ochrony Danych (zwanej dalej „EROD”) nr 1/2021 z dnia 28 lipca 2021 r., wydanej w sprawie sporu, jaki zaistniał pomiędzy organami nadzorczymi, których sprawa dotyczy, w przedmiocie projektu decyzji dotyczącej WhatsAppa, który to projekt został sporządzony przez Data Protection Commission (DPC) (organ nadzorczy do spraw ochrony danych osobowych osób fizycznych, Irlandia, zwany dalej „irlandzkim organem nadzorczym”) (zwanej dalej „sporną decyzją”). Ramy prawne Motywy 10 i 143 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1; sprostowanie: Dz.U. 2018, L 127, s. 2) (zwanego dalej „RODO”) brzmią następująco: „(10) Aby zapewnić wysoki i spójny stopień ochrony osób fizycznych oraz usunąć przeszkody w przepływie danych osobowych w Unii [Europejskiej], należy zapewnić równorzędny we wszystkich państwach członkowskich stopień ochrony praw i wolności osób fizycznych w związku z przetwarzaniem takich danych. Należy zapewnić spójne i jednolite w całej Unii stosowanie przepisów o ochronie podstawowych praw i wolności osób fizycznych w związku z przetwarzaniem danych osobowych. […] […] (143) Każda osoba fizyczna lub prawna ma prawo wnieść do Trybunału Sprawiedliwości skargę o unieważnienie decyzji [EROD] na warunkach przewidzianych w art. 263 TFUE. Organy nadzorcze, których sprawa dotyczy, chcące takie decyzje zaskarżyć – jako adresaci takich decyzji – muszą wnieść skargę w terminie dwóch miesięcy od notyfikowania im tych decyzji, zgodnie z art. 263 TFUE. Jeżeli decyzje [EROD] bezpośrednio i indywidualnie dotyczą administratora, podmiotu przetwarzającego lub skarżącego, ten ostatni może wnieść skargę o unieważnienie tych decyzji w terminie dwóch miesięcy od ich publikacji na stronie internetowej [EROD], zgodnie z art. 263 TFUE. Z zastrzeżeniem prawa przewidzianego w art. 263 TFUE, każda osoba fizyczna lub prawna powinna mieć prawo do skutecznego środka ochrony prawnej przed właściwym sądem krajowym wobec decyzji organu nadzorczego wywołującej skutki prawne wobec tej osoby. Taka decyzja może dotyczyć w szczególności wykonywania przez organ nadzorczy uprawnień do prowadzenia postępowań wyjaśniających, uprawnień naprawczych i do wydawania zezwoleń lub oddalania lub odrzucania skarg. Prawo do skutecznego środka ochrony prawnej przed sądem nie dotyczy jednak niewiążących prawnie środków przyjętych przez organy nadzorcze, takich jak wydawane przez nie opinie czy zalecenia. Skarga przeciwko organowi nadzorczemu powinna być wnoszona do sądu państwa członkowskiego, w którym organ nadzorczy ma siedzibę, a postępowanie powinno się toczyć zgodnie z prawem tego państwa członkowskiego. Sądy te powinny wykonywać pełną jurysdykcję w sprawie, w tym w zakresie ustalenia okoliczności faktycznych i prawnych mających znaczenie dla rozstrzygnięcia sprawy. Jeżeli organ nadzorczy odrzuci lub oddali skargę, skarżący może wnieść odwołanie do sądu tego samego państwa członkowskiego. W kontekście środków ochrony prawnej przed sądem dotyczących stosowania niniejszego rozporządzenia sądy krajowe uznające, że decyzja w tej kwestii jest niezbędna do wydania wyroku, mogą, a w przypadku przewidzianym w art. 267 TFUE – muszą, zwrócić się do Trybunału Sprawiedliwości o orzeczenie w trybie prejudycjalnym w sprawie wykładni prawa Unii, w tym niniejszego rozporządzenia. Ponadto jeżeli decyzja organu nadzorczego wdrażająca decyzję [EROD] zostanie zaskarżona przed sądem krajowym, a przedmiotem będzie ważność decyzji [EROD], sąd krajowy nie jest uprawniony do stwierdzenia nieważności decyzji [EROD], ale jeżeli uważa tę decyzję za nieważną, musi przekazać sprawę jej ważności Trybunałowi Sprawiedliwości zgodnie z art. 267 TFUE i jego wykładnią dokonaną przez Trybunał Sprawiedliwości. Sąd krajowy nie może jednak przekazać Trybunałowi Sprawiedliwości sprawy ważności decyzji [EROD] na wniosek osoby fizycznej lub prawnej, która miała możliwość wnieść skargę o unieważnienie tej decyzji, w szczególności gdy decyzja ta bezpośrednio i indywidualnie jej dotyczyła, ale nie zrobiła tego w terminie przewidzianym w art. 263 TFUE”. Artykuł 5 RODO, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, stanowi w ust. 1 lit. a), że dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą. Zgodnie z art. 5 ust. 1 lit. c) dane te muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Artykuł 6 RODO, zatytułowany „Zgodność przetwarzania z prawem”, ustanawia przesłanki zgodności przetwarzania tych danych z prawem. Zgodnie z art. 6 ust. 1: „Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań”. Artykuł 12 RODO zawiera uregulowania dotyczące przejrzystego informowania i przejrzystej komunikacji oraz trybu wykonywania praw przez osobę, której dane dotyczą. Zgodnie z art. 12 ust. 1: „Administrator podejmuje odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem – w szczególności gdy informacje są kierowane do dziecka – udzielić osobie, której dane dotyczą, wszelkich informacji, o których mowa w art. 13 i 14, oraz prowadzić z nią wszelką komunikację na mocy art. 15–22 i 34 w sprawie przetwarzania. Informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach – elektronicznie. Jeżeli osoba, której dane dotyczą, tego zażąda, informacji można udzielić ustnie, o ile innymi sposobami potwierdzi się tożsamość osoby, której dane dotyczą”. Artykuł 13 RODO, zatytułowany „Informacje podawane w przypadku zbierania danych od osoby, której dane dotyczą”, stanowi: „1.   Jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas pozyskiwania danych osobowych podaje jej wszystkie następujące informacje: a) swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela; b) gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych; c) cele przetwarzania, do których mają posłużyć dane osobowe, oraz podstawę prawną przetwarzania; d) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) – prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią; e) informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją; f) gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję [Europejską] odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz informację o sposobach uzyskania kopii tych zabezpieczeń lub o miejscu ich udostępnienia. 2.   Poza informacjami, o których mowa w ust. 1, podczas pozyskiwania danych osobowych administrator podaje osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania: a) okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu; b) informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych; c) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) – informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem; d) informacje o prawie wniesienia skargi do organu nadzorczego; e) informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych; f) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą. […]”. Artykuł 14 RODO dotyczy informacji podawanych w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą. Zgodnie z brzmieniem art. 55 ust. 1 RODO każdy organ nadzorczy jest właściwy do wypełniania zadań i wykonywania uprawnień powierzonych mu zgodnie z RODO na terytorium swojego państwa członkowskiego. Artykuł 56 RODO, zatytułowany „Właściwość wiodącego organu nadzorczego”, stanowi: „1.   Bez uszczerbku dla art. 55 organ nadzorczy głównej lub pojedynczej jednostki organizacyjnej administratora lub podmiotu przetwarzającego jest właściwy do podejmowania działań jako wiodący organ nadzorczy – zgodnie z procedurą przewidzianą w art. 60 – względem transgranicznego przetwarzania dokonywanego przez tego administratora lub ten podmiot przetwarzający. 2.   W drodze wyjątku od ust. 1 każdy organ nadzorczy jest właściwy do rozpatrzenia skargi, którą do niego wniesiono, lub zajęcia się ewentualnym naruszeniem niniejszego rozporządzenia, jeżeli sprawa dotyczy wyłącznie jednostki organizacyjnej w jego państwie członkowskim lub znacznie wpływa na osoby, których dane dotyczą, wyłącznie w jego państwie członkowskim. 3.   W przypadkach, o których mowa w ust. 2 niniejszego artykułu, organ nadzorczy niezwłocznie informuje o danej sprawie wiodący organ nadzorczy. W terminie trzech tygodni od otrzymania informacji wiodący organ nadzorczy postanawia, czy zajmie się daną sprawą zgodnie z procedurą przewidzianą w art. 60, uwzględniając, czy w państwie członkowskim, którego organ nadzorczy przekazał mu informacje, znajduje się jednostka organizacyjna administratora lub podmiotu przetwarzającego. 4.   Jeżeli wiodący organ nadzorczy postanowi zająć się daną sprawą, zastosowanie ma procedura przewidziana w art. 60. Organ nadzorczy, który przekazał informacje wiodącemu organowi nadzorczemu, może przedłożyć temu organowi projekt decyzji. Wiodący organ nadzorczy w jak największym stopniu uwzględnia ten projekt, przygotowując projekt decyzji, o którym mowa w art. 60 ust. 3. 5.   Jeżeli wiodący organ nadzorczy postanowi nie zajmować się daną sprawą, sprawą zajmuje się – zgodnie z art. 61 i 62 – organ nadzorczy, który przekazał informacje wiodącemu organowi nadzorczemu. 6.   Administrator lub podmiot przetwarzający komunikują się w sprawie dokonywanego przez nich transgranicznego przetwarzania jedynie z wiodącym organem nadzorczym”. Artykuł 57 RODO, zatytułowany „Zadania”, stanowi w ust. 1 lit. h), że każdy organ nadzorczy na swoim terytorium prowadzi postępowania w sprawie stosowania RODO. Uprawnienia tego organu w zakresie tego postępowania zostały wyliczone w art. 58 RODO, zatytułowanym „Uprawnienia”. W ust. 2 tego artykułu zostały wyliczone przysługujące temu organowi uprawnienia naprawcze, do których należą te wskazane w jego lit. b), d) i i) i polegające odpowiednio na udzielaniu upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania; na nakazaniu administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów RODO, a w stosownych przypadkach wskazanie sposobu i terminu, a także na stosowaniu administracyjnej kary pieniężnej na mocy art. 83 RODO. Artykuł 60 RODO, zatytułowany „Współpraca między wiodącym organem nadzorczym a innymi organami nadzorczymi, których sprawa dotyczy”, stanowi: „1.   Wiodący organ nadzorczy współpracuje z innymi organami nadzorczymi, których sprawa dotyczy, zgodnie z niniejszym artykułem w celu osiągnięcia porozumienia. Wiodący organ nadzorczy i organy nadzorcze, których sprawa dotyczy, wymieniają się wszelkimi stosownymi informacjami. 2.   Wiodący organ nadzorczy może w dowolnym momencie zwrócić się do innych organów nadzorczych, których sprawa dotyczy, o wzajemną pomoc zgodnie z art. 61 i może prowadzić wspólne operacje zgodnie z art. 62, w szczególności w celu przeprowadzenia postępowania lub monitorowania wdrażania środka dotyczącego administratora lub podmiotu przetwarzającego posiadającego jednostkę organizacyjną w innym państwie członkowskim. 3.   Wiodący organ nadzorczy niezwłocznie przekazuje innym organom nadzorczym, których sprawa dotyczy, stosowne informacje dotyczące danej sprawy. Niezwłocznie przedkłada innym organom [nadzorczym], których sprawa dotyczy, […] projekt decyzji w celu uzyskania ich opinii i należytego uwzględnienia ich uwag. 4.   Jeżeli w terminie czterech tygodni od otrzymania wniosku o opinię zgodnie z ust. 3 niniejszego artykułu inny organ nadzorczy, którego sprawa dotyczy, zgłosi mający znaczenie dla sprawy i uzasadniony sprzeciw wobec projektu decyzji, wiodący organ nadzorczy – jeżeli nie przychyla się do mającego znaczenie dla sprawy i uzasadnionego sprzeciwu lub sądzi, że sprzeciw nie ma znaczenia dla sprawy lub nie jest uzasadniony – przekazuje sprawę w ramach mechanizmu spójności, o którym mowa w art. 63. 5.   Jeżeli wiodący organ nadzorczy zamierza przychylić się do zgłoszonego mającego znaczenie dla sprawy i uzasadnionego sprzeciwu, przedkłada innym organom nadzorczym, których sprawa dotyczy, zmieniony projekt decyzji w celu uzyskania ich opinii. Zmieniony projekt decyzji jest poddawany procedurze, o której mowa w ust. 4, w terminie dwóch tygodni. 6.   Jeżeli w terminie, o którym mowa w ust. 4 i 5, żaden inny organ nadzorczy, którego sprawa dotyczy, nie zgłosi sprzeciwu wobec projektu decyzji przedłożonego przez wiodący organ nadzorczy, uznaje się, że wiodący organ nadzorczy i organy nadzorcze, których sprawa dotyczy, porozumiały się w sprawie projektu decyzji i są nią związane. 7.   Wiodący organ nadzorczy przyjmuje decyzję i doręcza ją odpowiednio głównej lub pojedynczej jednostce organizacyjnej administratora lub podmiotu przetwarzającego oraz informuje o decyzji inne organy nadzorcze, których sprawa dotyczy, i [EROD], dołączając streszczenie stanu faktycznego i powodów decyzji. Organ nadzorczy, do którego wniesiono skargę, informuje skarżącego o decyzji. 8.   W drodze wyjątku od ust. 7, jeżeli skarga zostaje oddalona lub odrzucona, organ nadzorczy, do którego wniesiono skargę, przyjmuje decyzję i doręcza ją skarżącemu oraz informuje o niej administratora. 9.   Jeżeli wiodący organ nadzorczy i organy nadzorcze, których sprawa dotyczy, porozumiały się co do oddalenia lub odrzucenia części skargi oraz co do podjęcia działań względem innych części tej skargi, dla każdej z tych części przyjmuje się odrębną decyzję. Wiodący organ nadzorczy przyjmuje decyzję w sprawie części dotyczącej działań względem administratora i doręcza ją głównej lub pojedynczej jednostce organizacyjnej administratora lub podmiotu przetwarzającego na terytorium swojego państwa członkowskiego i informuje o niej skarżącego, a organ nadzorczy skarżącego przyjmuje decyzję w sprawie części dotyczącej oddalenia lub odrzucenia tej skargi, doręcza ją skarżącemu oraz informuje o niej administratora lub podmiot przetwarzający. 10.   Po doręczeniu administratorowi lub podmiotowi przetwarzającemu decyzji wiodącego organu nadzorczego zgodnie z ust. 7 i 9, podejmują oni niezbędne działania, by zastosować się do tej decyzji, jeżeli chodzi o czynności przetwarzania w ramach wszystkich swoich jednostek organizacyjnych w Unii. Administrator lub podmiot przetwarzający zawiadamiają wiodący organ nadzorczy o działaniach podjętych w celu zastosowania się do decyzji, ten zaś informuje o nich inne organy nadzorcze, których sprawa dotyczy. 11.   Jeżeli w wyjątkowych okolicznościach organ nadzorczy, którego sprawa dotyczy, ma powody sądzić, że istnieje pilna potrzeba podjęcia działań w celu ochrony interesów osób, których dane dotyczą, zastosowanie ma tryb pilny, o którym mowa w art. 66. 12.   Wiodący organ nadzorczy i inne organy nadzorcze, których sprawa dotyczy, dostarczają sobie nawzajem informacji wymaganych na mocy niniejszego artykułu drogą elektroniczną w standardowym formacie”. Zgodnie z brzmieniem art. 63 RODO, zatytułowanego „Mechanizm spójności”: „Aby przyczynić się do spójnego stosowania niniejszego rozporządzenia w całej Unii, organy nadzorcze współpracują ze sobą, a w stosownym przypadku także z Komisją, stosując mechanizm spójności określony w niniejszej sekcji […]”. Artykuł 65 RODO, zatytułowany „Rozstrzyganie sporów przez [EROD]”, stanowi: „1.   Aby w poszczególnych sytuacjach zapewnić właściwe i spójne stosowanie niniejszego rozporządzenia, [EROD] przyjmuje w następujących przypadkach wiążące decyzje: a) jeżeli w przypadku, o którym mowa w art. 60 ust. 4, organ nadzorczy, którego sprawa dotyczy, zgłosił mający znaczenie dla sprawy i uzasadniony sprzeciw wobec projektu decyzji wiodącego organu nadzorczego, a wiodący organ nadzorczy nie przychylił się do tego sprzeciwu lub odrzucił taki sprzeciw jako niemający znaczenia dla sprawy lub nieuzasadniony. Wiążąca decyzja dotyczy wszystkich spraw, które są przedmiotem mającego znaczenie dla sprawy i uzasadnionego sprzeciwu, w szczególności dotyczy tego, czy doszło do naruszenia niniejszego rozporządzenia; b) jeżeli panują sprzeczne opinie co do tego, który z organów nadzorczych, których sprawa dotyczy, jest właściwy względem głównej jednostki organizacyjnej; c) jeżeli właściwy organ nadzorczy nie wystąpił o opinię do [EROD] w przypadkach, o których mowa w art. 64 ust. 1, lub nie zastosował się do opinii [EROD] wydanej zgodnie z art. 64. W takim przypadku organ nadzorczy, którego sprawa dotyczy, lub Komisja mogą zgłosić sprawę [EROD]. 2.   Decyzję, o której mowa w ust. 1, [EROD] przyjmuje większością dwóch trzecich głosów swoich członków w terminie miesiąca od wpłynięcia sprawy. Ze względu na złożony charakter sprawy termin ten można przedłużyć o miesiąc. Decyzja, o której mowa w ust. 1, zostaje wraz z uzasadnieniem skierowana do wiodącego organu nadzorczego i wszystkich organów nadzorczych, których sprawa dotyczy, i jest dla nich wiążąca. 3.   Jeżeli [EROD] nie jest w stanie przyjąć decyzji w terminach, o których mowa w ust. 2, przyjmuje decyzję w terminie dwóch tygodni po upłynięciu drugiego miesiąca, o którym mowa w ust. 2, zwykłą większością głosów swoich członków. Jeżeli głosy członków [EROD] rozkładają się po równo, decyduje głos przewodniczącego. 4.   Przed upływem terminów, o których mowa w ust. 2 i 3, organy nadzorcze, których sprawa dotyczy, nie przyjmują decyzji w sprawie przedłożonej [EROD] na mocy ust. 1. 5.   Przewodniczący [EROD] bez zbędnej zwłoki notyfikuje organom nadzorczym, których sprawa dotyczy, decyzję, o której mowa w ust. 1. Informuje o niej Komisję. Decyzja jest niezwłocznie publikowana na stronie internetowej [EROD], po tym jak organ nadzorczy notyfikował ostateczną decyzję, o której mowa w ust 6. 6.   Bez zbędnej zwłoki i najpóźniej w terminie miesiąca po notyfikowaniu przez [EROD] swojej decyzji, wiodący organ nadzorczy lub w stosownym przypadku organ nadzorczy, do którego wniesiono skargę, przyjmuje ostateczną decyzję na podstawie decyzji, o której mowa w ust. 1 niniejszego artykułu. Wiodący organ nadzorczy lub w stosownym przypadku organ nadzorczy, do którego wniesiono skargę, informuje [EROD] o terminie, w którym doręczono ostateczną decyzję odpowiednio administratorowi lub podmiotowi przetwarzającemu oraz osobie, której dane dotyczą. Ostateczna decyzja organów nadzorczych, których sprawa dotyczy, zostaje przyjęta w trybie art. 60 ust. 7, 8 i 9. Ostateczna decyzja zawiera informacje o decyzji, o której mowa w ust. 1 niniejszego artykułu, i wskazuje, że decyzja, o której mowa w tym ustępie, zostanie opublikowana na stronie internetowej [EROD] zgodnie z ust. 5 niniejszego artykułu. Do ostatecznej decyzji załączona zostaje decyzja, o której mowa w ust. 1 niniejszego artykułu”. Artykuł 68 RODO, zatytułowany „[EROD]”, ustanawia w swym ust. 1 EROD jako organ Unii posiadający osobowość prawną. Artykuł 70 RODO, zatytułowany „Zadania [EROD]”, stanowi w ust. 1 lit. a), że EROD zapewnia spójne stosowanie RODO. W tym celu, z własnej inicjatywy lub w stosownych przypadkach na wniosek Komisji, EROD w szczególności monitoruje i zapewnia właściwe stosowanie RODO w przypadkach, o których mowa w art. 64 i 65, bez uszczerbku dla zadań krajowych organów nadzorczych. Artykuł 78 RODO, zatytułowany „Prawo do skutecznego środka ochrony prawnej przed sądem przeciwko organowi nadzorczemu”, stanowi: „1.   Bez uszczerbku dla innych administracyjnych lub pozasądowych środków ochrony prawnej każda osoba fizyczna lub prawna ma prawo do skutecznego środka ochrony prawnej przed sądem przeciwko prawnie wiążącej decyzji organu nadzorczego jej dotyczącej. 2.   Bez uszczerbku dla innych administracyjnych lub pozasądowych środków ochrony prawnej każda osoba, której dane dotyczą, ma prawo do skutecznego środka ochrony prawnej przed sądem, jeżeli organ nadzorczy właściwy zgodnie z art. 55 i 56 nie rozpatrzył skargi lub nie poinformował osoby, której dane dotyczą, w terminie trzech miesięcy o postępach lub efektach rozpatrywania skargi wniesionej zgodnie z art. 77. 3.   Postępowanie przeciwko organowi nadzorczemu zostaje wszczęte przed sądem państwa członkowskiego, w którym organ nadzorczy ma siedzibę. 4.   Jeżeli postępowanie zostało wszczęte przeciwko decyzji organu nadzorczego, którą poprzedziła opinia lub decyzja [EROD] w ramach mechanizmu spójności, organ nadzorczy przekazuje sądowi tę opinię lub decyzję”. W art. 83 RODO zostały ustanowione ogólne warunki nakładania administracyjnych kar pieniężnych. Okoliczności powstania sporu i sporna decyzja Okoliczności powstania sporu, które zostały przedstawione w pkt 2–12 zaskarżonego postanowienia, dla celów niniejszego postępowania można streścić w podany niżej sposób. Po wejściu w życie RODO irlandzki organ nadzorczy otrzymał zarówno od użytkowników komunikatora „WhatsApp”, jak i osób niebędących jego użytkownikami skargi dotyczące przetwarzania danych osobowych przez WhatsApp. Również Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (federalny komisarz ds. ochrony danych i wolności informacji, Niemcy) zwrócił się do irlandzkiego organu nadzorczego o pomoc w zakresie przestrzegania przez WhatsApp obowiązków przejrzystości, jakie ciążą na administratorach danych osobowych w odniesieniu do ewentualnego udostępniania tych danych innym podmiotom z grupy Facebook, zwanej począwszy od września 2021 r., „Meta”. W grudniu 2018 r. irlandzki organ nadzorczy wszczął z urzędu postępowanie o charakterze ogólnym w sprawie przestrzegania przez WhatsApp obowiązków w zakresie przejrzystości i informacji wobec osób fizycznych, które to obowiązki zostały określone w art. 12–14 RODO, bez uszczerbku dla działań, które organ ten mógł podjąć w skierowanych do niego indywidualnych sprawach. Irlandzki organ nadzorczy działał w tym zakresie jako „wiodący organ nadzorczy” w oparciu o art. 56 ust. 1 RODO, ponieważ główna jednostka organizacyjna WhatsAppa – jako administratora dla operacji komunikatora „WhatsApp” – w Europie znajdowała się w Irlandii, a przetwarzanie to miało charakter transgraniczny. Po tym, jak we wrześniu 2019 r. etap dochodzeniowy został zakończony prezentacją końcowego raportu podmiotu prowadzącego postępowanie, irlandzki organ nadzorczy, po zakończeniu pośrednich etapów postępowania, podczas których WhatsApp przekazał swoje uwagi, przedstawił w grudniu 2020 r. wszystkim pozostałym organom nadzorczym, których sprawa dotyczy, projekt decyzji w celu uzyskania ich opinii zgodnie z art. 60 ust. 3 RODO. W styczniu 2021 r. osiem z tych pozostałych organów nadzorczych sformułowało sprzeciwy wobec niektórych aspektów tego projektu decyzji. Irlandzki organ nadzorczy udzielił zbiorczej odpowiedzi na te sprzeciwy, proponując rozwiązania kompromisowe. Chociaż w następstwie tej odpowiedzi jeden z organów nadzorczych wycofał swój sprzeciw, irlandzki organ nadzorczy stwierdził, że konsensus, jaki miały wypracować organy nadzorcze w kwestii jego propozycji dotyczących innych aspektów będących przedmiotem sprzeciwów, nie został osiągnięty. Postanowił on odrzucić wszystkie te sprzeciwy i wystąpić do EROD z wnioskiem o rozstrzygnięcie przez nią sporu, jaki zaistniał co do tych objętych sprzeciwami aspektów między organami nadzorczymi, których sprawa dotyczy, zgodnie z art. 60 ust. 4 oraz art. 65 ust. 1 lit. a) RODO. W maju 2021 r. irlandzki organ nadzorczy – po uprzednim przekazaniu WhatsAppowi wszystkich wymienionych w tym zakresie pism proceduralnych – otrzymał od WhatsAppa pisemne uwagi dotyczące kwestii dyskutowanych przez organy nadzorcze, których sprawa dotyczy, i on sam również przekazał EROD powyższe uwagi celem umożliwienia jej zapoznania się z nimi w ramach wszczętej przez nią w czerwcu 2021 r. procedury rozstrzygania sporów. W dniu 28 lipca 2021 r. EROD przyjęła sporną decyzję na podstawie art. 65 ust. 2 RODO. Po otrzymaniu przez irlandzki organ nadzorczy zaskarżonej decyzji i uwag WhatsAppa dotyczących kar pieniężnych, które ostatecznie miały zostać na niego nałożone w świetle spornej decyzji, organ ten podjął w dniu 20 sierpnia 2021 r., zgodnie z art. 65 ust. 6 RODO, skierowaną do WhatsAppa ostateczną decyzję (zwaną dalej „decyzją ostateczną”). W decyzji ostatecznej irlandzki organ nadzorczy uznał, iż WhatsApp naruszył zasadę przejrzystości oraz wynikające z niej obowiązki określone w art. 5 ust. 1 lit. a), w art. 12 ust. 1, w art. 13 ust. 1 lit. c)–f), w art. 13 ust. 2 lit. a), c) oraz e), a także w art. 14 RODO. W owej decyzji organ ten stwierdził natomiast, że WhatsApp wypełnił obowiązki określone w art. 13 ust. 1 lit. a) oraz b), a także w art. 13 ust. 2 lit. b) oraz d) RODO. Tytułem środków zaradczych, przyjętych na podstawie art. 58 ust. 2 lit. b), d) oraz i) RODO, na mocy decyzji ostatecznej organ ten udzielił WhatsAppowi upomnienia, nałożył na niego obowiązek wdrożenia szeregu wymienionych w załączniku działań mających na celu doprowadzenie w terminie trzech miesięcy do przestrzegania przepisów RODO, które zostały naruszone, jak również cztery grzywny administracyjne związane z naruszeniami, o których mowa w art. 5 ust. 1 lit. a) oraz w art. 12–14 RODO, na łączną kwotę 225 mln EUR. W treści decyzji ostatecznej irlandzki organ nadzorczy wskazał aspekty, w odniesieniu do których sporna decyzja nałożyła nań obowiązek zweryfikowania zmiany oceny zawartej w projekcie decyzji. Co do tych aspektów organ ten zdecydował się umieścić w dosłownym brzmieniu, w zacienionych polach tekstowych, powody przyjęte przez EROD w spornej decyzji i po prostu wyciągnąć z nich każdorazowo w poszczególnych punktach podsumowujących konsekwencje. Sporna decyzja została zgodnie z art. 65 ust. 6 RODO dołączona do decyzji ostatecznej irlandzkiego organu nadzorczego. W spornej decyzji EROD zajęła stanowisko w przedmiocie kwestii, które były przedmiotem istotnych i uzasadnionych sprzeciwów w rozumieniu art. 65 ust. 1 lit. a) RODO, a mianowicie: – naruszenia przez WhatsApp określonych w art. 13 ust. 1 lit. d) RODO obowiązków informacyjnych, odnoszących się do pewnych informacji, które należy podać osobom, których dane dotyczą, w przypadku pozyskiwania od nich danych osobowych; irlandzki organ nadzorczy nie stwierdził w swoim projekcie decyzji takiego naruszenia. EROD natomiast uznała, że przepis ten został przez WhatsAppa naruszony; – zakwalifikowania jako danych osobowych informacji pochodzących z procedury kompresji ze stratą zwanej „haszowaniem stratnym” („Lossy Hashing Procedure”), stosowanej do danych dotyczących „kontaktów” niebędących użytkownikami WhatsAppa, widniejących w książkach adresowych urządzeń użytkowników WhatsAppa; irlandzki organ nadzorczy w swoim projekcie decyzji nie zakwalifikował tych elementów jako danych; EROD natomiast uznała, że stanowią one zawsze dane osobowe; zdaniem EROD aspekt ten mógł wywrzeć wpływ na ewentualne stwierdzenie naruszenia przez WhatsAppa art. 5 ust. 1 lit. c) oraz art. 6 ust. 1 RODO, a także wywarł wpływ na zakres naruszenia przez WhatsAppa art. 14 tego rozporządzenia, jak również na wysokość kary pieniężnej wymierzonej z tych tytułów; – naruszenia przez WhatsAppa zasady przejrzystości określonej w art. 5 ust. 1 lit. a) RODO, którego to naruszenia irlandzki organ nadzorczy nie stwierdził w swoim projekcie decyzji; EROD natomiast uznała, że powyższa zasada została przez WhatsAppa naruszona; – stwierdzenia naruszenia przez WhatsAppa art. 13 ust. 2 lit. e) RODO, dotyczącego niektórych informacji, jakie należy podać osobom, których dane dotyczą, w przypadku pozyskiwania od nich danych osobowych, które to naruszenie irlandzki organ nadzorczy uznał za niemożliwe do stwierdzenia z uwagi na okoliczność, że osoba prowadząca dochodzenie nie zajęła w jego trakcie stanowiska w tej kwestii, gdyż uznała, iż może wydać w tej kwestii jedynie zalecenia; EROD natomiast uznała, że postępowanie objęło wszystkie postanowienia art. 13 RODO i że należy stwierdzić naruszenie powyższego przepisu; – naruszenia przez WhatsAppa art. 6 ust. 1 RODO, dotyczącego warunków zgodności z prawem przetwarzania danych osobowych, co do którego irlandzki organ nadzorczy się nie wypowiedział; EROD uznała natomiast, że ze względów proceduralnych rzeczywiście nie było możliwości wypowiedzenia się i stwierdzenia takiego naruszenia; – rozszerzenia przesłanek naruszenia przez WhatsApp obowiązków informacyjnych określonych w art. 14 RODO, dotyczących informacji, które należy podać, gdy dane osobowe nie zostały pozyskane od osoby, której dane dotyczą, w związku z analizą dotyczącą tiret drugiego powyżej; EROD potwierdziła wpływ, jaki winno mieć to rozszerzenie na nałożone na WhatsAppa środki zaradcze o charakterze behawioralnym i karę; – naruszenia przez WhatsApp zasady określonej w art. 5 ust. 1 lit. c) RODO, w zakresie dotyczącym możliwości gromadzenia wyłącznie danych adekwatnych, stosownych oraz ograniczonych do tego, co niezbędne do celów, w których są przetwarzane, co do którego to naruszenia irlandzki organ nadzorczy się nie wypowiedział; EROD uznała, że takie naruszenie nie zostało wykazane na podstawie akt sprawy, w szczególności biorąc pod uwagę zakres dochodzenia przyjęty w ramach postępowania w odniesieniu do WhatsAppa; – wyznaczonego przez irlandzki organ nadzorczy terminu sześciu miesięcy, w którym tytułem środków zaradczych WhatsApp miał się dostosować do naruszonych przez niego zawartych w RODO wymogów; EROD skróciła ten termin do trzech miesięcy; – tytułem środków zaradczych – sposobów informowania osób niebędących użytkownikami WhatsAppa o przetwarzaniu ich danych osobowych przez WhatsAppa; EROD potwierdziła ocenę dokonaną w tym zakresie przez irlandzki organ nadzorczy w jego projekcie decyzji; – tytułem środków zaradczych – wskazania dodatkowych przesłanek naruszenia przez WhatsAppa obowiązków określonych w art. 14 RODO; EROD wyjaśniła, że takie wskazanie było konieczne, aby zagwarantować, by WhatsApp przyjął odpowiednie środki zaradcze w tym zakresie; – w odniesieniu do art. 83 RODO, dotyczącego „[o]góln[ych] warunk[ów] nakładania administracyjnych kar pieniężnych” – wymiaru grzywien, jakie miały zostać nałożone na WhatsAppa; EROD uznała, że irlandzki organ nadzorczy błędnie zinterpretował kryterium związane z kwotą rocznego światowego obrotu spółki, której sprawa dotyczy, że prawidłowo zinterpretował pojęcie „poprzedniego roku obrotowego”, że błędnie zinterpretował zasadę, zgodnie z którą w przypadku naruszenia kilku przepisów RODO w ramach tej samej operacji przetwarzania danych lub powiązanych operacji przetwarzania danych łączna kwota grzywny administracyjnej nie może przekroczyć kwoty ustalonej dla najbardziej poważnego naruszenia, że prawidłowo zinterpretował niektóre z kryteriów ustalenia wymiaru kary pieniężnej, o których mowa w art. 83 ust. 1 i 2 RODO (takich jak charakter umyślny lub nieumyślny naruszeń czy też ich waga), ale błędnie zinterpretował inne z tych kryteriów (uwzględnienie kwoty rocznego obrotu w przypadku obliczania kary niezależnie od tego, jaka jest jej górna granica, oraz, ogólniej rzecz biorąc, potrzeby, aby kara była skuteczna, proporcjonalna i odstraszająca); oraz – wysokości grzywien, gdyż EROD stanęła na stanowisku, że w świetle błędów popełnionych przez irlandzki organ nadzorczy w interpretacji niektórych kryteriów wymiaru grzywny i dodatkowych uchybień WhatsAppa, jakie należy stwierdzić, kwoty grzywien, przewidziane przez irlandzki organ nadzorczy w łącznej wysokości 30–50 mln EUR, powinny być podwyższone. WhatsApp zaskarżył tę ostateczną decyzję przed irlandzkim sądem. Postępowanie przed Sądem i zaskarżone postanowienie Pismem złożonym w sekretariacie Sądu w dniu 1 listopada 2021 r. WhatsApp wniósł na podstawie art. 263 TFUE skargę o stwierdzenie nieważności spornej decyzji. W zaskarżonym postanowieniu, wydanym w zastosowaniu art. 129 regulaminu postępowania, Sąd odrzucił tę skargę jako niedopuszczalną. Wskazując w pkt 36, 37 i 40 zaskarżonego postanowienia, że sporna decyzja stanowi akt organu Unii zmierzający do wywarcia skutków prawnych wobec osób trzecich i że dotyczyła ona WhatsAppa indywidualnie, Sąd w pkt 42 tego postanowienia uznał jednak, że decyzja ta stanowi akt przygotowawczy lub pośredni w postępowaniu, które musi zostać zakończone wydaniem przez krajowy organ nadzorczy ostatecznej decyzji. W pkt 43 i 44 zaskarżonego postanowienia Sąd uznał zaś, że taki akt stanowi „akt zaskarżalny” jedynie wówczas, gdy wywołuje on niezależne skutki prawne, w odniesieniu do których w ramach skargi na decyzję kończącą postępowanie nie można zapewnić wystarczającej ochrony sądowej. W tym względzie w pkt 45 zaskarżonego postanowienia Sąd uznał, że w niniejszym przypadku WhatsApp ma zapewnioną skuteczną ochronę sądową w odniesieniu do spornej decyzji poprzez przysługującą mu możliwość zaskarżenia decyzji ostatecznej przed sądem krajowym, który to sąd jest na mocy art. 267 TFUE uprawniony do zwrócenia się do Trybunału Sprawiedliwości Unii Europejskiej z odesłaniem prejudycjalnym w celu dokonania oceny ważności spornej decyzji. W pkt 46 zaskarżonego postanowienia Sąd uznał także, że sporna decyzja nie wywarła w odniesieniu do WhatsAppa żadnego skutku prawnego, który byłby autonomiczny w stosunku do wydanej przez irlandzki organ nadzorczy decyzji ostatecznej. Ponadto w pkt 49 zaskarżonego postanowienia Sąd uznał, iż okoliczność polegająca na tym, że w akcie pośrednim zostało wyrażone ostateczne stanowisko organu, które będzie musiało zostać przejęte w decyzji ostatecznej kończącej dane postępowanie, nie musi oznaczać, że ten akt sam w sobie istotnie zmienia sytuację prawną strony skarżącej. Ponadto w pkt 50 zaskarżonego postanowienia Sąd wskazał, że sporna decyzja nie dotyczyła WhatsAppa bezpośrednio. W pkt 52 tego postanowienia Sąd zauważył, że na zaskarżoną decyzję nie można powołać się w stosunku do WhatsAppa bezpośrednio, co, w przeciwnym razie, stanowiłoby – bez dodatkowego etapu postępowania – źródło zobowiązań dla WhatsAppa lub – w odpowiednim przypadku – źródło praw innych jednostek, efektem czego decyzja ta nie wywiera bezpośrednio skutków na sytuację WhatsAppa. Sąd w pkt 53 tego postanowienia wskazał też, że nawet jeśli sporna decyzja była dla irlandzkiego organu nadzorczego wiążąca w zakresie aspektów, których dotyczyła, to pozostawiono mu w niej pewien zakres uznania co do treści decyzji ostatecznej. Tak więc w pkt 61 i 62 tego samego postanowienia Sąd rozstrzygnął, że żadna z przesłanek wymaganych do tego, aby środek będący przedmiotem skargi WhatsAppa dotyczył go bezpośrednio, nie została spełniona i że skarga ta jest w związku z tym niedopuszczalna. Wreszcie, w pkt 66–70 zaskarżonego postanowienia Sąd orzekł, że przeprowadzona przezeń analiza jest zgodna z logiką środków zaskarżenia na drodze sądowej, który to system został ustanowiony w traktatach. Sąd w szczególności przyjął, że uznanie dopuszczalności skargi WhatsAppa na sporną decyzję prowadziłoby do sytuacji, w której toczyłyby się dwa równoległe postępowania sądowe, przed sądem unijnym i przed sądem krajowym – który jest zresztą uprawniony do zwrócenia się do Trybunału Sprawiedliwości Unii Europejskiej z odesłaniem prejudycjalnym w celu dokonania oceny ważności tej decyzji. Żądania stron W odwołaniu WhatsApp wnosi do Trybunału o: – uchylenie zaskarżonego postanowienia; – uznanie skargi o stwierdzenie nieważności za dopuszczalną; – przekazanie sprawy Sądowi do ponownego rozpoznania; – obciążenie EROD kosztami postępowania odwoławczego. EROD, wspierana przez Republikę Federalną Niemiec, wnosi do Trybunału o: – oddalenie odwołania; – obciążenie WhatsAppa kosztami; – tytułem żądania ewentualnego – przekazanie sprawy Sądowi do ponownego rozpoznania. W przedmiocie odwołania W przedmiocie podnoszonego wniesienia skargi w pierwszej instancji po terminie Argumentacja stron EROD podnosi, że skarga w pierwszej instancji została wniesiona po terminie. Twierdzi ona w tym względzie, że WhatsApp powziął wiadomość o mających dla tego przedsiębiorstwa znaczenie częściach spornej decyzji jeszcze przed datą jej publikacji na stronie internetowej EROD, a konkretnie – w dniu 13 sierpnia 2021 r. Tak więc, niezależnie od daty publikacji spornej decyzji na stronie internetowej EROD, której zresztą nie można zrównać z publikacją w Dzienniku Urzędowym Unii Europejskiej, termin na wniesienie skargi rozpoczął swój bieg w dniu 13 sierpnia 2021 r., a zakończył – w dniu 25 października tego samego roku. WhatsApp wniósł skargę o stwierdzenie nieważności w dniu 1 listopada 2021 r., czyli po upływie tego terminu. Zdaniem WhatsAppa twierdzenie EROD w przedmiocie wniesienia skargi po terminie jest błędne. W przypadku gdy strona wnosząca skargę o stwierdzenie nieważności danego aktu nie jest bowiem jego adresatem, kryterium dla rozpoczęcia biegu terminu na wniesienie tej skargi stanowi data jego publikacji. Data powzięcia wiadomości o tym akcie jest w tym względzie kryterium jedynie pomocniczym. Sposób publikacji tego aktu jako taki jest zaś pozbawiony znaczenia. W niniejszym przypadku do publikacji spornej decyzji na stronie internetowej EROD doszło zaś w każdym razie w dniu 2 września 2021 r., skarga została zaś wniesiona w dniu 1 listopada 2021 r., z zachowaniem terminu, który został przewidziany w art. 263 akapit szósty TFUE. Ocena Trybunału Zgodnie z brzmieniem art. 263 akapit szósty TFUE skargi przewidziane w tym postanowieniu wnosi się w terminie dwóch miesięcy, stosownie do przypadku, od daty publikacji aktu lub jego notyfikowania skarżącemu lub, w razie ich braku, od daty powzięcia przez niego wiadomości o tym akcie. Z brzmienia tego przepisu, a w szczególności z wyrażeń „stosownie do przypadku” i „w razie ich braku” jasno wynika, że początek biegu terminu do wniesienia skargi jest określany w zależności od danej sytuacji i że dwa z kryteriów, które mogą rozpocząć ten termin, są zhierarchizowane wobec trzeciego z nich. Tym samym termin do wniesienia skargi o stwierdzenie nieważności rozpoczyna swój bieg przede wszystkim z chwilą publikacji aktu lub jego notyfikowania skarżącemu. Te dwa główne kryteria są umieszczone w systematyce tego przepisu na równi, w tym znaczeniu, że żadne z tych kryteriów nie jest pomocnicze w stosunku do drugiego. Natomiast kryterium daty powzięcia wiadomości o zaskarżonym akcie jako rozpoczęcia biegu terminu do wniesienia skargi posiada charakter pomocniczy w stosunku do kryteriów daty publikacji lub daty notyfikacji tego aktu (zob. podobnie wyrok z dnia 26 września 2024 r., WEPA Hygieneprodukte i in./Komisja, C‑795/21 P i C‑796/21 P, EU:C:2024:807, pkt 61–63 i przytoczone tam orzecznictwo). W niniejszym przypadku jasne jest, że sporna decyzja nie została notyfikowana WhatsAppowi, gdyż EROD była zobowiązana, w oparciu o art. 65 ust. 5 zdanie pierwsze RODO, do notyfikowania takiej decyzji jedynie organom nadzorczym, których sprawa dotyczy. Należy zatem ustalić, czy ta decyzja była przedmiotem „publikacji” w rozumieniu art. 263 akapit szósty TFUE. W tym względzie należy wyjaśnić, że pojęcie „publikacji” nie dotyczy wyłącznie publikacji w Dzienniku Urzędowym Unii Europejskiej i że, przeciwnie, należy je interpretować szeroko. Pojęcie to obejmuje również publikację na stronie internetowej instytucji, organu lub jednostki organizacyjnej Unii, jeżeli taka publikacja jest przewidziana w prawie wtórnym (zob. podobnie wyrok z dnia 26 września 2024 r., WEPA Hygieneprodukte i in./Komisja, C‑795/21 P i C‑796/21 P, EU:C:2024:807, pkt 70 i przytoczone tam orzecznictwo). W niniejszym przypadku, ze względu na to, że publikacja spornej decyzji została przewidziana w art. 65 ust. 5 zdanie trzecie RODO, należy wziąć pod uwagę datę, w której decyzja ta została opublikowana na stronie internetowej EROD, czyli dzień 2 września 2021 r. Za przyjęciem takiej wykładni przemawia też motyw 143 zdanie trzecie RODO, z którego wynika, że bieg tego terminu należy obliczać począwszy od daty publikacji decyzji EROD na jej stronie internetowej. Ze względu na to, że skarga została wniesiona w dniu 1 listopada 2021 r., termin przewidziany w art. 263 akapit szósty TFUE nie został przekroczony, efektem czego należy zbadać, czy za pomocą zarzutów podniesionych w ramach niniejszego odwołania można podważyć ocenę przyjętą przez Sąd w zaskarżonym postanowieniu. W przedmiocie zarzutu pierwszego, dotyczącego naruszenia prawa przy wykładni i stosowaniu pojęcia aktu zaskarżalnego oraz przesłanki, zgodnie z którą środek będący przedmiotem skargi musi dotyczyć skarżącego bezpośrednio W przedmiocie części pierwszej zarzutu pierwszego – Argumentacja stron WhatsApp twierdzi, że Sąd dopuścił się naruszenia prawa, gdy uznał, iż sporna decyzja nie jest aktem zaskarżalnym. WhatsApp kwestionuje w szczególności znaczenie kryterium przyjętego przez Sąd w pkt 41 zaskarżonego postanowienia w celu ustalenia czy dany akt jest zaskarżalny. Jego zdaniem Sąd błędnie uznał zatem, że konieczne było wykazanie, iż sporna decyzja wywołuje skutki prawne zmieniające w istotny sposób sytuację prawną WhatsAppa i że dotyczy ona tej spółki bezpośrednio. Wystarczyłoby stwierdzić, że decyzja ta miała na celu wywołanie skutków prawnych wobec jednej lub kilku osób trzecich, aby móc uznać, że stanowi ona akt zaskarżalny ze względu na jej ostateczny charakter. W każdym razie ta decyzja nie stanowi jedynie środka pośredniego, lecz wyraża ostateczne stanowisko EROD. Zdaniem WhatsAppa Sąd błędnie zastosował orzecznictwo dotyczące skutków prawnych aktów pośrednich, stosując kryterium proceduralne, zgodnie z którym taki akt podlega zaskarżeniu tylko wówczas, gdy skarga skierowana przeciwko aktowi ostatecznemu nie zapewnia wystarczającej ochrony sądowej, i stwierdzając, że sporna decyzja nie wywiera skutków prawnych. W tym kontekście WhatsApp powołuje się na wyrok z dnia 11 listopada 1981 r., IBM/Komisja (60/81, EU:C:1981:264, pkt 10, 11), z którego wynika w szczególności, że akt pośredni podlega zaskarżeniu wówczas, gdy ma on charakter ostateczny i jest niezależny od wydanej później decyzji ostatecznej. Należy zatem zbadać istotę tego aktu i ocenić jego skutki w świetle obiektywnych kryteriów, takich jak jego treść, z uwzględnieniem, w razie potrzeby, kontekstu jego wydania oraz uprawnień instytucji, która go wydała. WhatsApp przytacza w tym względzie w szczególności wyrok z dnia 12 lipca 2022 r., Nord Stream 2/Parlament i Rada (C‑348/20 P, EU:C:2022:548, pkt 63). W szczególności taki akt nie mógłby być przedmiotem skargi o stwierdzenie nieważności tylko wówczas, gdyby, z jednej strony, miał on charakter tymczasowy co do jego istoty, w związku z czym jego autor mógłby zmienić swoje stanowisko na etapie wydanej później decyzji ostatecznej i, po drugie, ta decyzja ostateczna byłaby wydawana przez tę samą instytucję lub ten sam organ Unii. Nie należy zatem stosować pojęcia środka pośredniego do decyzji przyjętej przez instytucję lub organ Unii i skierowanej do organu władz krajowych mającego za zadanie wykonanie tej decyzji wobec osób trzecich. W niniejszej sprawie zdaniem WhatsAppa Sąd ograniczył się do zbadania, czy pod względem proceduralnym zapewniono tej spółce skuteczną ochronę sądową za pośrednictwem skargi wniesionej do sądu krajowego. Sąd miał zatem błędnie stwierdzić w pkt 48 i 49 zaskarżonego postanowienia, że argument WhatsAppa, zgodnie z którym sporna decyzja wyraża ostateczne stanowisko jej autora, jest bez znaczenia. Postępując w ten sposób, Sąd błędnie zatem uznał, że sporna decyzja nie wywołuje skutków prawnych i że nie jest ona niezależna od decyzji ostatecznej, nie przeprowadził przy tym oceny treści i kontekstu spornej decyzji ani zakresu wywieranych przez nią autonomicznych skutków prawnych. Co się tyczy treści spornej decyzji, bezsporne jest, że, jako wiążąca decyzja wydana na podstawie art. 65 RODO, miała ona na celu wywarcie skutków prawnych wobec osób trzecich i że stanowiła ona ostateczne stanowisko zajęte przez EROD w przedstawionych jej kwestiach. Stanowisko to mogło zmienić w istotny sposób sytuację prawną WhatsAppa, w szczególności ze względu na stwierdzenie, że dane poddane kompresji ze stratą były danymi osobowymi, które to stwierdzenie jest dla irlandzkiego organu nadzorczego wiążące. Co się tyczy kontekstu spornej decyzji, z brzmienia art. 65 RODO wynika, że ma ona wiążący charakter. W motywie 143 RODO wskazano, że decyzje podejmowane przez EROD mogą dotyczyć bezpośrednio i indywidualnie w szczególności administratora, co sugeruje, że takie decyzje mogą wywoływać skutki prawne zewnętrzne, wykraczające poza krajowe organy nadzorcze, które są ich adresatami. Przemawia za tym zarówno racja bytu wiążącego skutku decyzji EROD, która jest związana z zapewnieniem prawidłowego i spójnego stosowania RODO, jak i systematyka procedury, o której mowa w art. 65 ust. 1 RODO. Co się tyczy autonomicznych skutków prawnych spornej decyzji, wykraczających poza te wywoływane wobec jej adresatów, WhatsApp podnosi, że decyzja ta wywołuje wobec niego takie właśnie skutki, wpływając w szczególności na sposób, w jaki zamierza on zastosować się do RODO w odniesieniu do danych podlegających kompresji ze stratą, które to dane zostały zakwalifikowane przez EROD jako dane osobowe. Sporna decyzja wywołuje również skutki prawne wobec sądów krajowych, które nie są uprawnione do jej zmiany lub unieważnienia. EROD nie zgadza się z tą argumentacją. Podnosi ona, że skarga o stwierdzenie nieważności może co do zasady zostać wniesiona jedynie przeciwko środkowi, za pomocą którego instytucja, organ lub jednostka organizacyjna Unii po zakończeniu postępowania administracyjnego określa ostatecznie swoje stanowisko. Nie można natomiast uznać za „akty zaskarżalne” aktów pośrednich, których celem jest przygotowanie decyzji ostatecznej, ponieważ takie akty nie zmierzają do wywołania wiążących skutków prawnych niezależnych od aktu Unii, który jest w ten sposób przygotowany, potwierdzany lub wykonywany. Z orzecznictwa wynika, że akt pośredni również nie może być zaskarżony, jeżeli bezprawność, jaką jest on dotknięty, może być także powołana na poparcie skargi skierowanej przeciwko decyzji ostatecznej, względem której akt ten ma charakter aktu przygotowawczego. Zdaniem EROD w niniejszej sprawie sporna decyzja stanowi akt pośredni, który stanowi część niepodzielnej procedury decyzyjnej, przeprowadzonej przez irlandzki organ nadzorczy i zakończonej wydaniem przez ten organ decyzji ostatecznej. W tym kontekście, choć te oceny EROD są wiążące, to nie można się na nie jednak powołać wobec WhatsAppa bezpośrednio i nie wywołują wobec tej spółki żadnych skutków prawnych, które byłyby niezależne od decyzji ostatecznej. Tak więc okoliczność, że sporna decyzja zawiera ostateczne stanowisko EROD w przedmiocie pewnych aspektów sporu, które powinny znaleźć się w decyzji końcowej, nie oznacza, że sporna decyzja sama w sobie powoduje zmianę sytuacji prawnej, w której znajduje się WhatsApp. Sporna decyzja i decyzja końcowa zostały bowiem wydane w ramach jednolitej procedury administracyjnej składającej się z wzajemnie od siebie zależnych etapów na szczeblach: krajowym i europejskim i dotyczącej tego samego przedmiotu, nie zaś – w następstwie przeprowadzenia dwóch niezależnych postępowań, które dotyczyłyby odrębnych kwestii. W tym względzie EROD wyjaśnia, że celem procedury rozstrzygania sporów jest zapewnienie spójnego wdrażania RODO przez organy krajowe. W niniejszej sprawie sporna decyzja nie tworzy po stronie WhatsAppa nowych obowiązków prawnych. Obowiązki tej spółki są określone w samym RODO, a nie w spornej decyzji, i są egzekwowane przez irlandzki organ nadzorczy, a nie przez EROD. Ponadto obowiązki te miały zastosowanie do WhatsAppa jeszcze przed stwierdzeniem rozpatrywanych naruszeń. Co się tyczy skutków prawnych, jakie sporna decyzja ma wywierać na zewnątrz, EROD twierdzi, że jej wykładnia jest wiążąca jedynie między stronami, to znaczy między organami nadzorczymi, których ta sprawa dotyczy. Sporna decyzja, poza tym, że nie wywiera ona bezpośredniego skutku prawnego wobec WhatsAppa, dotyczy ograniczonych aspektów stosowania RODO, które powinny zostać zawarte i rozwinięte w ostatecznej decyzji. Choć przyjmowane przez EROD wykładnie RODO mogą efektem tego mieć pewne znaczenie w przyszłych sprawach dotyczących podobnych kwestii prawnych, to nie są one wiążące dla sądów krajowych, które w razie wątpliwości powinny zwrócić się do Trybunału z wnioskiem o wydanie orzeczenia w trybie prejudycjalnym. Republika Federalna Niemiec, występująca w charakterze interwenienta popierającego żądania EROD, podnosi, że przewidziany w RODO mechanizm spójności, w tym procedura rozstrzygania sporów, ma czysto wewnętrzny charakter i jej wyłącznym celem jest doprowadzenie, w przypadku rozbieżnych opinii między organami nadzorczymi, do pozasądowego rozstrzygnięcia zaistniałego sporu. W szczególności z art. 65 ust. 2 zdanie trzecie RODO wynika, że środek przyjęty przez EROD w tych ramach wywołuje wiążący prawnie skutek wyłącznie wobec krajowych organów nadzorczych. Dla danego administratora lub podmiotu przetwarzającego dane, wiążąca byłaby jedynie decyzja ostateczna. – Ocena Trybunału Część pierwsza zarzutu pierwszego odwołania dotyczy tego, czy Sąd naruszył prawo, gdy orzekł w pkt 41–49 zaskarżonego postanowienia, że sporna decyzja nie jest aktem zaskarżalnym w rozumieniu art. 263 akapit pierwszy TFUE. Zgodnie z tym postanowieniem Trybunał kontroluje między innymi „legalność aktów organów lub jednostek organizacyjnych Unii, które zmierzają do wywarcia skutków prawnych wobec osób trzecich”. Zgodnie z utrwalonym orzecznictwem przewidziana w art. 263 TFUE skarga o stwierdzenie nieważności przysługuje na wszelkie akty instytucji, organów lub jednostek organizacyjnych mających na celu wywołanie wiążących skutków prawnych, niezależnie od ich formy (zob. podobnie wyrok z dnia 12 lipca 2022 r., Nord Stream 2/Parlament i Rada, C‑348/20 P, EU:C:2022:548, pkt 62 i przytoczone tam orzecznictwo). W celu ustalenia, czy akt wywołuje takie skutki i w rezultacie czy może być przedmiotem skargi o stwierdzenie nieważności na podstawie art. 263 TFUE, należy wziąć pod uwagę istotę tego aktu, przy czym rzeczone skutki prawne aktu należy oceniać na podstawie obiektywnych kryteriów, takich jak jego treść, z uwzględnieniem, w razie potrzeby, kontekstu jego wydania oraz uprawnień instytucji, organu lub jednostki organizacyjnej, która go wydała (zob. podobnie wyrok z dnia 12 lipca 2022 r., Nord Stream 2/Parlament i Rada, C‑348/20 P, EU:C:2022:548, pkt 63 i przytoczone tam orzecznictwo). W tym względzie, jak zauważyła rzeczniczka generalna w pkt 79 i 121 opinii, w świetle art. 263 akapit pierwszy TFUE, osobą trzecią, wobec której akt wywiera wiążące skutki prawne, nie musi wcale być strona skarżąca. Osobą trzecią jest bowiem każda osoba fizyczna lub prawna inna niż autor tego aktu. W związku z tym, w celu ustalenia, czy taki akt wywołuje takie skutki, nie ma potrzeby badania, czy skutki te mogą mieć wpływ na sytuację prawną strony skarżącej, ponieważ ta weryfikacja ma znaczenie jedynie w ramach badania, czy zostały spełnione określone w art. 263 akapit czwarty TFUE przesłanki, zgodnie z którymi skarga o stwierdzenie nieważności aktu może zostać wniesiona przez każdą osobę, której akt ten dotyczy bezpośrednio i indywidualnie, jeżeli to postanowienie znajduje zastosowanie (zob. podobnie wyrok z dnia 13 lutego 2025 r., Swissgrid/Komisja, C‑121/23 P, EU:C:2025:83, pkt 46). Zaskarżalność aktu należy zatem oceniać obiektywnie, w zależności od jego istoty, a nie – w zależności od strony skarżącej. Niemniej jednak należy przypomnieć, że w przypadku aktów, których opracowanie przebiega w kilku etapach proceduralnych, aktem zaskarżalnym może być co do zasady jedynie środek, który ostatecznie określa stanowisko właściwej instytucji, właściwego organu lub właściwej jednostki organizacyjnej Unii, z wyłączeniem środków pośrednich, których celem jest przygotowanie tego ostatecznego środka i które nie wywołują samodzielnych skutków prawnych. Takimi środkami pośrednimi są w szczególności środki wyrażające tymczasową opinię tej instytucji, organu lub jednostki organizacyjnej Unii (zob. podobnie wyroki: z dnia 11 listopada 1981 r., IBM/Komisja, 60/81, EU:C:1981:264, pkt 10; z dnia 22 września 2022 r., IMG/Komisja, C‑619/20 P i C‑620/20 P, EU:C:2022:722, pkt 103; a także z dnia 18 czerwca 2024 r., Komisja/SRB, C‑551/22 P, EU:C:2024:520, pkt 92). Z orzecznictwa wynika, że środek pośredni również nie może w szczególności być przedmiotem skargi o stwierdzenie nieważności, jeżeli zostanie wykazane, że bezprawność, jaką jest on dotknięty, może być także powołana na poparcie skargi skierowanej przeciwko decyzji końcowej, względem której akt ten ma charakter aktu przygotowawczego. W tych okolicznościach skarga na decyzję kończącą postępowanie zapewnia wystarczającą ochronę sądową (zob. podobnie wyroki: z dnia 11 listopada 1981 r., IBM/Komisja, 60/81, EU:C:1981:264, pkt 12; z dnia 15 marca 2017 r., Stichting Woonlinie i in./Komisja, C‑414/15 P, EU:C:2017:215, pkt 46 i przytoczone tam orzecznictwo). W niniejszej sprawie, co się tyczy treści danego aktu i uprawnień rozpatrywanego organu, z samego brzmienia art. 65 ust. 1 lit. a) i ust. 2 RODO oraz art. 68 ust. 1 RODO wynika, że sporna decyzja jest aktem wydanym przez organ Unii i mającym charakter wiążący wobec osób trzecich. Akt ten jest bowiem wiążący dla wiodącego organu nadzorczego i wszystkich organów nadzorczych, których sprawa dotyczy, które są adresatami tego aktu i które są w stosunku do EROD osobami trzecimi. Zgodnie z art. 65 ust. 6 RODO wiodący organ nadzorczy winien przyjąć ostateczną decyzję na podstawie decyzji EROD. W tej decyzji musi on również zawrzeć odniesienie do decyzji EROD, którą winien do niej załączyć. Ponadto, co się tyczy kontekstu wydania spornej decyzji, bezsporne jest, że została ona opracowana w ramach procesu składającego się z kilku etapów proceduralnych w rozumieniu orzecznictwa przytoczonego w pkt 69 niniejszego wyroku, ponieważ poprzedza ona przyjęcie przez irlandzki organ nadzorczy innego aktu. Jednakże w decyzji tej zostało określone ostatecznie, w rozumieniu tego orzecznictwa, stanowisko właściwego organu Unii, a mianowicie EROD, i wyczerpano w niej wszystkie kwestie, które organ ten ma rozstrzygnąć. Należy bowiem stwierdzić, że taka decyzja, podjęta na podstawie art. 65 ust. 1 lit. a) RODO, dotyczy wszystkich kwestii, które są przedmiotem uzasadnionego i mającego znaczenie dla sprawy sprzeciwu ze strony organów nadzorczych, których sprawa dotyczy, w rozumieniu art. 60 ust. 4 RODO, w szczególności odnośnie do kwestii tego, czy doszło do naruszenia RODO. Z powyższego wynika, że, chociaż sporna decyzja nie stanowi ostatniego etapu przewidzianej w art. 58, 60 i 65 RODO procedury kontroli spójności, nie można jej uznać za środek pośredni niepodlegający zaskarżeniu w rozumieniu orzecznictwa przytoczonego w pkt 69 niniejszego wyroku, wbrew temu, co orzekł Sąd w pkt 42 zaskarżonego postanowienia. W konsekwencji orzecznictwo przypomniane w pkt 70 niniejszego wyroku jest pozbawione znaczenia w niniejszej sprawie. W tym kontekście, ze względu na to, że decyzja EROD wywołuje wiążące skutki prawne wobec osób trzecich, bez znaczenia jest okoliczność, że zakresem ostatecznej decyzji krajowego organu nadzorczego objęte są kwestie, które nie podlegają właściwości EROD ani nie są przedmiotem wszczętego przed nią postępowania. Z tych samych powodów podniesiona przez Sąd w pkt 42 zaskarżonego postanowienia okoliczność, że – w odróżnieniu od wydanej przez irlandzki organ nadzorczy decyzji ostatecznej – na sporną decyzję nie można się bezpośrednio powołać wobec podmiotów innych niż jej adresaci, jest również pozbawiona znaczenia dla kwalifikacji tej decyzji jako aktu zaskarżalnego w oparciu o art. 263 akapit pierwszy TFUE. Taka okoliczność, która dotyczy sytuacji prawnej skarżącej w odniesieniu do spornej decyzji, nie odnosi się ani do istoty tej decyzji, ani do jej wiążących skutków prawnych w świetle obiektywnych kryteriów. Z całości powyższych rozważań wynika, że sporna decyzja stanowi akt organu Unii mający wywoływać skutki prawne wobec osób trzecich i wyrażający ostateczne stanowisko tego organu w kwestiach, które organ ten powinien rozstrzygnąć, jak zresztą stwierdził sam Sąd w pkt 36, 37 i 49 zaskarżonego postanowienia. Decyzja ta stanowi zatem, w świetle brzmienia art. 263 akapit pierwszy TFUE i orzecznictwa przytoczonego w pkt 66–69 niniejszego wyroku, akt zaskarżalny, bez konieczności przeprowadzania na tym etapie oceny, czy ta decyzja skutkowała istotną zmianą sytuacji prawnej WhatsAppa. W tym względzie należy stwierdzić, że Sąd dopuścił się naruszenia prawa, po pierwsze, w pkt 38 zaskarżonego postanowienia, myląc wymogi wynikające, odpowiednio, z akapitów pierwszego i czwartego art. 263 TFUE i, po drugie, w pkt 42 zaskarżonego postanowienia, ustanawiając błędne kryterium dotyczące braku możliwości bezpośredniego powołania się wobec WhatsAppa na rozpatrywany akt i uznając sporną decyzję za pozbawiony autonomicznych skutków prawnych środek pośredni. Część pierwszą zarzutu pierwszego odwołania należy zatem uwzględnić. W przedmiocie części drugiej zarzutu pierwszego – Argumentacja stron WhatsApp twierdzi, że Sąd naruszył prawo, gdy orzekł, iż sporna decyzja nie dotyczyła go bezpośrednio i że w konsekwencji wniesiona przezeń skarga była niedopuszczalna. Po pierwsze, co się tyczy przesłanki, zgodnie z którą akt powinien wywierać bezpośredni wpływ na sytuację prawną strony skarżącej, Sąd błędnie stwierdził w pkt 52 zaskarżonego postanowienia, że sporna decyzja nie dotyczy WhatsAppa bezpośrednio ze względu na to, że nie można się powoływać na tę decyzję wobec tej spółki i nie stanowi ona ostatniego etapu procedury przewidzianej w art. 58, 60 i 65 RODO. Po drugie, co się tyczy przesłanki, zgodnie z którą akt nie może pozostawiać żadnego zakresu uznania adresatom, których obowiązkiem jest go wykonać, WhatsApp uważa, że Sąd dopuścił się naruszenia prawa, gdy orzekł w pkt 53–60 zaskarżonego postanowienia, że w spornej decyzji został pozostawiony irlandzkiemu organowi nadzorczemu pewien zakres uznania co do treści jego ostatecznej decyzji, i przyznał jednocześnie, że sporna decyzja była dla tego organu nadzorczego wiążąca w zakresie wskazanych w niej aspektów. Co się tyczy pkt 54–56 zaskarżonego postanowienia, w których Sąd uznał, że treść spornej decyzji zawiera jedynie część decyzji ostatecznej, WhatsApp utrzymuje, że Sąd powinien był zbadać brak uprawnień dyskrecjonalnych, odnosząc się do samej istoty spornej decyzji, bez odwoływania się do dodatkowej treści decyzji ostatecznej. EROD przeanalizowała bowiem jedynie niektóre aspekty rozpatrywanego przypadku, a mianowicie kwestie będące przedmiotem istotnych i uzasadnionych sprzeciwów ze strony organów nadzorczych, których sprawa dotyczy. Sporna decyzja nie może zatem dotyczyć całości sprawy i nie może obejmować kwestii, które nie podlegają właściwości EROD ani nie są przedmiotem wszczętego przed nią postępowania. Ponadto Sąd naruszył prawo, gdy orzekł w pkt 57–59 zaskarżonego postanowienia, że irlandzki organ nadzorczy skorzystał z przysługujących mu uprawnień dyskrecjonalnych, aby wyciągnąć wnioski ze spornej decyzji. W pierwszej kolejności, co się tyczy kwalifikacji danych poddawanych kompresji ze stratą jako danych osobowych, WhatsApp utrzymuje, że taka dokonana przez EROD kwalifikacja wiąże się z nałożeniem na tę spółkę dodatkowych obowiązków w oparciu o RODO, i to niezależnie od tego, czy wiodący organ nadzorczy skorzystał z wykraczających poza dokonanie takiej kwalifikacji dyskrecjonalnych uprawnień co do istoty sprawy, sprawdzając to, czy WhatsApp działał jako administrator lub podmiot przetwarzający. W drugiej kolejności, co się tyczy podwyższenia kwot grzywien, jakie miały zostać nałożone na WhatsAppa, w decyzji tej nie pozostawiono irlandzkiemu organowi nadzorczemu żadnego zakresu uznania, ponieważ był on zobowiązany do nałożenia grzywny wyższej niż ta pierwotnie planowana. Okoliczność polegająca na tym, że organ ten zachowuje uprawnienia dyskrecjonalne w zakresie określenia dokładnej kwoty grzywny, jest bez znaczenia, ponieważ zadanie to leży w kompetencji tego organu. EROD nie zgadza się z tą argumentacją i twierdzi, że do tego, aby akt Unii dotyczył osoby fizycznej lub prawnej, która nie jest adresatem indywidualnego aktu bezpośrednio, muszą zostać spełnione dwa kumulatywne kryteria. Po pierwsze, akt ten musi mieć bezpośredni wpływ na sytuację prawną tej osoby i, po drugie, nie może pozostawiać żadnego zakresu uznania adresatowi, którego obowiązkiem jest wykonanie go, a które to wykonanie ma charakter czysto automatyczny i nie wymaga stosowania innych przepisów pośrednich. W odniesieniu do pierwszego z kryteriów strona ta zauważa, że wiążący skutek aktu należy rozpatrywać w zależności od jego wpływu na sytuację strony skarżącej. W niniejszej sprawie nie można powoływać się na sporną decyzję wobec WhatsAppa w sposób, który umożliwiałby, aby ta decyzja, bez przeprowadzania dalszych etapów proceduralnych, stanowiła źródło obowiązków. Decyzja ta nie stanowi ostatniego etapu postępowania, o którym mowa w art. 58, 60 i 65 RODO, i nie określa się w niej w szczególności ostatecznej wysokości grzywny czy też nowego zbioru reguł dotyczących prowadzonej przez WhatsAppa działalności. Zatem jedynie ostateczna decyzja dotyczy WhatsAppa bezpośrednio, ponieważ zgodnie z art. 56 ust. 6 RODO przedsiębiorstwo to jako administrator danych komunikuje się jedynie z irlandzkim organem nadzorczym. W odniesieniu do drugiego z kryteriów EROD twierdzi, że irlandzki organ nadzorczy zachował rzeczywisty zakres uznania w odniesieniu do wniosków, jakie należy wyciągnąć w jego ostatecznej decyzji, o szerszym zakresie niż sporna decyzja i zawierającej stwierdzenia, co do których EROD nie została wezwana do zajęcia stanowiska, gdyż zwrócono się do niej jedynie w kwestiach, które były przedmiotem istotnych i uzasadnionych sprzeciwów. W każdym razie zachodzi współzależność między sporną decyzją a decyzją ostateczną. Oddzielenie tych części decyzji ostatecznej, które odpowiadają wskazówkom EROD, nie jest możliwe, co potwierdza fakt, że EROD pozostawiła irlandzkiemu organowi nadzorczemu pewien zakres uznania w odniesieniu do szeregu aspektów tej sprawy. W takich okolicznościach to sąd krajowy byłby lepiej umiejscowiony do ponownego rozpatrzenia tej ostatecznej decyzji, zwracając się w razie potrzeby do Trybunału z pytaniami prejudycjalnymi w przedmiocie przepisów RODO stosowanych zarówno z urzędu, jak i na podstawie wskazówek EROD. Zdaniem EROD irlandzki organ nadzorczy zachował również pewien zakres uznania w kwestiach poruszonych w spornej decyzji, w szczególności w tych dotyczących, po pierwsze, konsekwencji prawnych, jakie należy wyciągnąć z kwalifikacji danych poddanych kompresji ze stratą jako danych osobowych i, po drugie, ustalenia kwoty nakładanych na WhatsAppa grzywien. Co się tyczy tego pierwszego z tych aspektów, organ ten zachował uprawnienia dyskrecjonalne i przeprowadził niezależne badanie, w szczególności w odniesieniu do tego, czy przestrzegano art. 14 RODO. Błędne jest w tym względzie twierdzenie, że EROD dokonała „pełnej” oceny, ponieważ jej uprawnienia są ograniczone do treści istotnych i uzasadnionych sprzeciwów i nie obejmują całości postępowania w sprawie naruszenia. Jeśli chodzi o drugi aspekt, a mianowicie ustalanie grzywien, choć w spornej decyzji zawarto ogólne wskazówki dotyczące grzywien, to nie dotyczy ona wdrażania tych wskazówek ani obliczania tych grzywien. Republika Federalna Niemiec uważa, że, skoro WhatsApp komunikował się jednie z wiodącym organem nadzorczym, nie można uznać, że sporna decyzja dotyczy tej spółki bezpośrednio. Taka decyzja nie jest przeznaczona do wykonywania w sposób autonomiczny, lecz zawsze następuje po niej decyzja ostateczna wydana przez ten organ. Prawodawca Unii dokonał bowiem świadomego wyboru sprawowania nadzoru nad RODO w sposób zdecentralizowany, nie decydując się na utworzenie jednego europejskiego centralnego organu ochrony danych. – Ocena Trybunału Część druga zarzutu pierwszego odwołania dotyczy kwestii tego, czy Sąd naruszył prawo, gdy uznał w pkt 50–60 zaskarżonego postanowienia, że sporna decyzja nie dotyczy WhatsAppa bezpośrednio w rozumieniu art. 263 akapit czwarty TFUE i że w konsekwencji wniesiona przez tę spółkę skarga jest niedopuszczalna. Zgodnie z tym postanowieniem każda osoba fizyczna lub prawna może wnieść, na warunkach przewidzianych w art. 263 TFUE akapity pierwszy i drugi, skargę na akty, których jest adresatem lub które dotyczą jej bezpośrednio i indywidualnie oraz na akty regulacyjne, które dotyczą jej bezpośrednio i nie wymagają środków wykonawczych. Tak więc dopuszczalność skargi wniesionej przez osobę fizyczną lub prawną na akt, którego nie jest ona adresatem, jest na podstawie art. 263 akapit czwarty TFUE uzależniona w szczególności od warunku, by akt ten dotyczył jej bezpośrednio i indywidualnie (wyrok z dnia 3 grudnia 2019 r., Iccrea Banca, C‑414/18, EU:C:2019:1036, pkt 64 i przytoczone tam orzecznictwo). W niniejszej sprawie, jak stwierdził Sąd w pkt 40 zaskarżonego postanowienia, zostało ustalone, że sporna decyzja dotyczy WhatsAppa indywidualnie, ponieważ odnosi się ona niektórych z aspektów projektu decyzji ostatecznej, które dotyczą konkretnie sytuacji tego przedsiębiorstwa. Jednakże w pkt 52 i 53 tego postanowienia Sąd uznał, że sporna decyzja nie dotyczyła WhatsAppa bezpośrednio ze względu na to, po pierwsze, że nie można się na nią powołać wobec WhatsAppa, co stanowiłoby, bez przeprowadzania dodatkowego etapu postępowania, źródło zobowiązań dla WhatsAppa lub – w odpowiednim przypadku – źródło praw innych jednostek i, po drugie, że nawet jeśli sporna decyzja była dla irlandzkiego organu nadzorczego wiążąca w zakresie wskazanych w niej kwestii, to pozostawiono mu w niej pewien zakres uznania co do treści decyzji ostatecznej. W tym względzie należy przypomnieć, że zgodnie z utrwalonym orzecznictwem warunek, że będący przedmiotem jej skargi środek musi dotyczyć bezpośrednio osoby fizycznej lub prawnej, wymaga łącznego spełnienia dwóch warunków, a mianowicie, po pierwsze, by ów środek wywierał bezpośredni wpływ na sytuację prawną tej osoby, i po drugie, by nie pozostawiał on żadnego uznania swoim adresatom, których obowiązkiem jest go wykonać, gdyż jego wykonanie ma charakter czysto automatyczny i wynika z samego uregulowania Unii, bez stosowania innych przepisów pośrednich (wyrok z dnia 4 października 2024 r., Komisja i Rada/Front Polisario, C‑779/21 P i C‑799/21 P, EU:C:2024:835, pkt 87 i przytoczone tam orzecznictwo). Przed zbadaniem, czy te dwie przesłanki zostały spełnione w niniejszej sprawie, należy uściślić, że brak możliwości bezpośredniego powołania się na zaskarżony akt wobec strony skarżącej, podobnie jak okoliczność, że akt ten nie stanowi ostatniego etapu złożonego postępowania, nie stoją na przeszkodzie temu, aby akt ten mógł dotyczyć tej strony skarżącej bezpośrednio, w sytuacji gdy adresatowi tego aktu nie przysługują żadne uprawnienia dyskrecjonalne (zob. podobnie wyroki: z dnia 4 czerwca 1992 r., Infortec/Komisja, C‑157/90, EU:C:1992:243, pkt 13, 17; z dnia 3 grudnia 2019 r., Iccrea Banca, C‑414/18, EU:C:2019:1036, pkt 65, 67; a także z dnia 12 lipca 2022 r., Nord Stream 2/Parlament i Rada, C‑348/20 P, EU:C:2022:548, pkt 74). W konsekwencji, jak zauważyła rzecznik generalna w pkt 139 i 144 opinii, Sąd naruszył prawo, gdy uznał w pkt 52 zaskarżonego postanowienia, że sporna decyzja nie może dotyczyć WhatsAppa bezpośrednio ze względu na to, że nie można się na nią powołać wobec tej spółki i nie stanowi ona ostatniego etapu procedury przewidzianej w art. 58, 60 i 65 RODO. Co się tyczy spełnienia pierwszej z przypomnianych w pkt 94 niniejszego wyroku przesłanek, należy ocenić to, czy zaskarżony akt leży u źródeł istotnej zmiany sytuacji prawnej danej osoby fizycznej lub prawnej, biorąc pod uwagę istotę tego aktu i oceniając jego skutki w świetle obiektywnych kryteriów, takich jak treść tego aktu, z uwzględnieniem w razie potrzeby kontekstu jego wydania oraz uprawnień instytucji, organu lub jednostki organizacyjnej, która go wydała (zob. podobnie wyroki: z dnia 11 listopada 1981 r., IBM/Komisja, 60/81, EU:C:1981:264, pkt 9; z dnia 18 czerwca 2024 r., Komisja/SRB, C‑551/22 P, EU:C:2024:520, pkt 65 i przytoczone tam orzecznictwo). W niniejszej sprawie, jak wskazano w pkt 30 niniejszego wyroku, w spornej decyzji EROD stwierdziła w szczególności, że WhatsApp naruszył obowiązki informacyjne określone w art. 13 ust. 1 lit. d) RODO i naruszył art. 13 ust. 2 lit. e) tego rozporządzenia. W konsekwencji decyzja ta zmienia sytuację prawną WhatsAppa, ponieważ, z uwagi na interwencję EROD, spółka ta musi w szczególności zmienić stosunek umowny łączący ją z użytkownikami dostarczanego przez WhatsAppa komunikatora. Wynika z tego, że istnieje bezpośredni związek między wspomnianą decyzją a jej skutkami dla sytuacji, w której znajduje się WhatsApp w rozumieniu orzecznictwa przytoczonego w pkt 94 i 95 niniejszego wyroku. Wbrew temu, co twierdzi EROD, okoliczność, że zgodnie z art. 56 ust. 6 RODO WhatsApp – jako administrator – komunikuje się jedynie z irlandzkim organem nadzorczym, pozostaje bez wpływu na to stwierdzenie. Przepis ten ma bowiem na celu wyłącznie uregulowanie stosunków łączących administratora lub podmiot przetwarzający, wiodący organ nadzorczy i organy nadzorcze, których sprawa dotyczy, w związku z czym nie dotyczy on środków odwoławczych przysługujących w odniesieniu do decyzji EROD. Co się tyczy spełnienia drugiej z przesłanek przypomnianych w pkt 94 niniejszego wyroku, dla dokonania oceny, czy dany akt pozostawia swoim adresatom zakres uznania w celu jego wprowadzenia w życie, należy zbadać skutki prawne wywoływane przez przepisy tego aktu, do których odnosi się skarga, względem sytuacji osoby powołującej się na prawo do wniesienia skargi w oparciu o art. 263 akapit czwarty człon zdania drugi TFUE (wyrok z dnia 12 lipca 2022 r., Nord Stream 2/Parlament i Rada, C‑348/20 P, EU:C:2022:548, pkt 98 i przytoczone tam orzecznictwo). Istnienie takiego zakresu uznania należy pominąć w szczególności wówczas, gdy zostanie wykazane, że przepisy aktu, których dotyczy skarga, skutkowały bezpośrednio nałożeniem na tę osobę obowiązków, których wynik nie mógł zostać zmieniony przez podmiot mający następnie za zadanie wykonanie tego aktu (zob. podobnie wyrok z dnia 12 lipca 2022 r., Nord Stream 2/Parlament i Rada, C‑348/20 P, EU:C:2022:548, pkt 114). W niniejszej sprawie, jak wynika z pkt 71 i 72 niniejszego wyroku, należy przypomnieć, że sporna decyzja wiąże wiodący organ nadzorczy i organy nadzorcze, których sprawa dotyczy. Nie mogą one odejść od stanowiska przyjętego przez EROD w tej decyzji i przypomnianego w pkt 30 niniejszego wyroku. We wspomnianej decyzji zostały bowiem rozstrzygnięte skierowane do EROD kwestie prawne i bezwarunkowo wiąże ona te organy, w szczególności w odniesieniu do stwierdzenia naruszenia niektórych przepisów RODO, kwalifikacji danych poddanych kompresji ze stratą jako danych osobowych, a także zobowiązania do podwyższenia kwoty przewidywanych kar pieniężnych. Organy te nie mają możliwości zmiany wyników dokonanych przez EROD ocen tych kwestii w rozumieniu orzecznictwa przytoczonego w poprzednim punkcie niniejszego wyroku. W tym względzie zgodnie z art. 70 ust. 1 lit. a) RODO zadaniem EROD jest zapewnienie spójnego stosowania tego rozporządzenia poprzez nadzorowanie i zagwarantowanie, jak wynika z motywu 10 tego rozporządzenia, spójnego i jednolitego stosowania przepisów o ochronie podstawowych praw i wolności osób fizycznych w związku z przetwarzaniem ich danych osobowych w całej Unii, w przypadkach przewidzianych w szczególności w art. 65 RODO, bez uszczerbku dla zadań krajowych organów nadzorczych. W tym kontekście bez znaczenia jest to, że zakres ostatecznej decyzji obejmuje kwestie, które nie zostały skierowane do EROD, a mianowicie te, które nie były przedmiotem istotnych i uzasadnionych sprzeciwów w rozumieniu art. 65 ust. 1 lit. a) RODO, lub te, które nie leżą w kompetencji tego organu, takie jak w szczególności określenie dokładnej kwoty kary pieniężnej, jaka ma zostać nałożona na administratora lub podmiot przetwarzający, co jest zadaniem organu nadzorczego rozpatrującego daną sprawę na podstawie art. 58 ust. 2 lit. i) oraz art. 83 RODO. Ponadto, choć między sporną decyzją a decyzją końcową istnieje wprawdzie stosunek współzależności, to nie zmienia to faktu, że stanowią one odrębne akty i że zakres spornej decyzji jest ściśle określony, jak wynika z wyliczenia przedstawionego w pkt 30 niniejszego wyroku. W tych okolicznościach ten stosunek współzależności nie może stać na przeszkodzie stwierdzeniu, że sporna decyzja dotyczy WhatsAppa bezpośrednio. W szczególności, choć jednoczesne wniesienie skargi o stwierdzenie nieważności do sądu Unii na podstawie art. 263 TFUE w odniesieniu do wiążącej decyzji EROD oraz do sądu krajowego na podstawie art. 78 RODO w odniesieniu do ostatecznej decyzji przyjętej na podstawie tej wiążącej decyzji przez krajowy organ nadzorczy prowadzi wprawdzie do wszczęcia dwóch równoległych postępowań, to sytuacja ta nie skutkuje tym, aby skutki decyzji EROD należało uznać w niniejszej sprawie w stosunku do WhatsAppa za pośrednie. Z jednej strony, w przypadku gdy rozstrzygnięcie sporu zawisłego przed sądem krajowym zależy od ważności decyzji organu Unii, z obowiązku lojalnej współpracy wynika bowiem, że celem uniknięcia wydania rozstrzygnięcia sprzecznego z tą decyzją sąd krajowy winien zawiesić postępowanie do czasu, gdy sądy Unii wydadzą prawomocne orzeczenia w przedmiocie skargi o stwierdzenie nieważności decyzji, chyba że w okolicznościach danej sprawy sąd uzna za uzasadnione wystąpienie do Trybunału z wnioskiem o wydanie orzeczenia w trybie prejudycjalnym odnośnie do ważności decyzji tego organu (zob. podobnie wyroki: z dnia 14 grudnia 2000 r., Masterfoods i HB, C‑344/98, EU:C:2000:689, pkt 57; z dnia 25 lipca 2018 r., Georgsmarienhütte i in., C‑135/16, EU:C:2018:582, pkt 24). Z drugiej strony należy również wskazać, że zasada prawidłowego administrowania wymiarem sprawiedliwości może uzasadniać, w przypadku jednoczesnego zwrócenia się do Sądu, w ramach skargi o stwierdzenie nieważności, i do Trybunału, w ramach wniosku o wydanie orzeczenia w trybie prejudycjalnym, by Trybunał skorzystał, jeśli uzna to za właściwe, z art. 54 akapit trzeci statutu Trybunału Sprawiedliwości Unii Europejskiej celem zawieszenia toczącego się przed nim postępowania na rzecz postępowania wszczętego przed Sądem (wyrok z dnia 25 lipca 2018 r., Georgsmarienhütte i in., C‑135/16, EU:C:2018:582, pkt 25). W konsekwencji, ponieważ obie przesłanki, o których mowa w pkt 94 niniejszego wyroku, zostały spełnione, sporna decyzja dotyczy WhatsAppa bezpośrednio. W świetle powyższych rozważań należy zatem uwzględnić część drugą zarzutu pierwszego odwołania i w konsekwencji uchylić zaskarżone postanowienie. W przedmiocie części trzeciej zarzutu pierwszego W części trzeciej zarzutu pierwszego WhatsApp podnosi, że Sąd dopuścił się naruszenia prawa, gdy stwierdził w pkt 66–70 zaskarżonego postanowienia, iż niedopuszczalność wniesionej przez tę spółkę skargi jest zgodna z logiką systemu środków zaskarżenia na drodze sądowej, który to system został ustanowiony w traktacie UE oraz w traktacie FUE. W świetle wniosku sformułowanego w pkt 110 niniejszego wyroku nie ma potrzeby orzekania w przedmiocie części trzeciej zarzutu pierwszego. W przedmiocie zarzutu drugiego, dotyczącego naruszenia prawa przy wykładni i stosowaniu art. 65 RODO oraz zasady spójnego stosowania prawa Unii Powołując się na argumentację przedstawioną w ramach zarzutu pierwszego, WhatsApp utrzymuje, że Sąd naruszył art. 65 ust. 1 RODO i zasadę spójnego stosowania prawa Unii, gdy orzekł w pkt 41–60 zaskarżonego postanowienia, że sporna decyzja nie wywołuje skutków prawnych innych niż jej skutki wiążące wobec organów nadzorczych, których sprawa dotyczy. Zważywszy, że WhatsApp ogranicza się do odesłania do argumentacji przedstawionej na poparcie zarzutu pierwszego, a także mając na uwadze wniosek wyciągnięty w pkt 110 niniejszego wyroku, nie ma potrzeby orzekania w przedmiocie tego zarzutu drugiego, ponieważ nie może on prowadzić do uchylenia zaskarżonego postanowienia w szerszym zakresie. W przedmiocie przekazania sprawy Sądowi do ponownego rozpoznania Zgodnie z art. 61 akapit pierwszy statutu Trybunału Sprawiedliwości Unii Europejskiej w przypadku uchylenia orzeczenia Sądu Trybunał może, jeśli stan postępowania na to pozwala, wydać orzeczenie ostateczne w sprawie. Przesłanka ta jest spełniona w niniejszej sprawie w zakresie, w jakim sprawa dotyczy dopuszczalności wniesionej do Sądu skargi. W tym względzie, po pierwsze, jak wynika z pkt 76 niniejszego wyroku, sporna decyzja stanowi akt zaskarżalny w rozumieniu art. 263 akapit pierwszy TFUE. Po drugie, jak stwierdzono w pkt 109 niniejszego wyroku, sporna decyzja dotyczy WhatsAppa bezpośrednio w rozumieniu art. 263 akapit czwarty TFUE. Po trzecie, jak Sąd sam stwierdził w pkt 40 zaskarżonego postanowienia, sporna decyzja dotyczy WhatsAppa indywidualnie. W związku z tym, ponieważ przesłanki ustanowione w art. 263 akapity pierwszy i czwarty TFUE zostały spełnione, a także w braku jakiejkolwiek innej podstawy niedopuszczalności, skarga o stwierdzenie nieważności zostaje uznana za dopuszczalną. Ponieważ jednak Sąd nie zbadał zasadności wniesionej do niego skargi, której rozstrzygnięcie wymaga szczegółowej oceny pod względem prawnym i faktycznym, stan postępowania nie pozwala na wydanie orzeczenia co do istoty skargi. W związku z tym sprawę należy przekazać do ponownego rozpoznania przez Sąd. W przedmiocie kosztów Ze względu na fakt, iż sprawa zostaje przekazana Sądowi do ponownego rozpoznania, rozstrzygnięcie w przedmiocie kosztów postępowania odwoławczego nastąpi w orzeczeniu kończącym postępowanie w sprawie.   Z powyższych względów Trybunał (wielka izba) orzeka, co następuje:   1) Postanowienie Sądu Unii Europejskiej z dnia 7 grudnia 2022 r., WhatsApp Ireland/Europejska Rada Ochrony Danych (T‑709/21, EU:T:2022:783), zostaje uchylone.   2) Sprawa zostaje przekazana Sądowi Unii Europejskiej do ponownego rozpoznania.   3) Rozstrzygnięcie o kosztach nastąpi w orzeczeniu kończącym postępowanie w sprawie.   Podpisy ( *1 ) Język postępowania: angielski.